1/21 Geschillenkamer Beslissing ten gronde 62/2022 van 29 april 2022 Dossiernummer : DOS-2018-03944 Betreft : Verzending van een globale e-mail waarbij alle bestemmelingen zichtbaar zijn, het uitsturen van dienstboodschappen zonder rechtmatigheidsgrondslag en verwerking van beeldmateriaal van een minderjarige zonder ouderlijke toestemming De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans, voorzitter en de heren Yves Poullet en Jelle Stassijns, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; heeft de volgende beslissing genomen inzake: De klaagster: Mevrouw X, hierna “de klaagster”; De verweerster: Y, hierna “de verweerster” of “de verwerkingsverantwoordelijke” Beslissing ten gronde 62/2022 - 2/21 I. 1. Feiten en procedure Op 23 juli 2018 diende mevr. X een klacht in bij de Gegevensbeschermingsautoriteit (hierna ‘GBA’) tegen Y. 2. Het voorwerp van de klacht heeft betrekking op een gegroepeerde verzending van gegevens per e-mail waardoor de ontvangers de e-mailadressen van andere betrokkenen konden achterhalen en het uitsturen van communicaties (dienstboodschappen) waarvoor de wettelijke grondslag door klaagster werd betwist. Daarnaast stelt klaagster dat verweerster, zonder haar voorafgaand te hebben ingelicht, de minderjarige zoon van klaagster liet deelnemen aan een project bestemd voor externe publicatie, waarbij tevens foto’s werden genomen van de zoon, evenwel zonder de ouderlijke toestemming van klaagster te bekomen. 3. Op 11 september 2018 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG overgemaakt aan de Geschillenkamer. 4. Op 3 oktober 2018 beslist de Geschillenkamer op grond van artikelen 63, 2° en 94, 1° WOG een onderzoek te vragen aan de Inspectiedienst. 5. Op 3 oktober 2018 wordt overeenkomstig artikel 96, § 1 WOG het verzoek van de Geschillenkamer tot het verrichten van een onderzoek overgemaakt aan de Inspectiedienst, samen met de klacht en de inventaris van de stukken. 6. Op 23 maart 2021 wordt het onderzoek door de Inspectiedienst afgerond, wordt het verslag bij het dossier gevoegd en wordt het dossier door de inspecteur-generaal overgemaakt aan de Voorzitter van de Geschillenkamer (artikel 91, § 1 en § 2 WOG). 7. Het verslag bevat vaststellingen met betrekking tot de verwerkingsverantwoordelijke alsmede het voorwerp van de klacht, en besluit allereerst dat de verwerkingsverantwoordelijke instaat voor “integrale jeugdhulp met huisvesting” en wordt beschouwd als een Vlaamse bestuursinstantie zoals bedoeld in artikel 2, 10° van het egovdecreet1 en omschreven op de website van de Vlaamse Overheid2, daar verweerster voldoet aan de criteria van artikel I, 3, 6° van het Bestuursdecreet 3. 8. De Inspectiedienst stelt vervolgens vast dat klaagster twee verwerkingsactiviteiten onderscheidt in haar klacht: de vermeende datalek ten gevolge van de e-mailcommunicatie van 7 juni 2018, enerzijds, en de ongevraagde nieuwsberichten per e-mail van 27 maart 2019 en 29 mei 2019, anderzijds. 1 Decreet van 18 juli 2008 betreffende het elektronische bestuurlijke gegevensverkeer, B.S., 29 oktober 2008. 2 https://overheid.vlaanderen.be/digitale-overheid/is-uw-organisatie-een-vlaamse-bestuursinstantie/. 3 Bestuursdecreet van 7 december 2018, B.S., 19 december 2018.http://www.jjgoldman.net/index/ Beslissing ten gronde 62/2022 - 3/21 9. Volgens de Inspectiedienst valt de eerste verwerkingsactiviteit binnen de werking en kernopdracht van verweerster. De Inspectiedienst acht het tevens voldoende bewezen, op grond van de voorgelegde stukken en het antwoord van verweerster, dat er voldaan is aan het transparantiebeginsel. Betrokkenen worden dankzij de informatie in de privacyverklaring, dewelke makkelijk terug te vinden is op de website van de verwerkingsverantwoordelijke, afdoende persoonsgegevens kader in het van ingelicht het over uitsturen de verwerking van van hun nieuwsbrieven en dienstcommunicaties. 10. Overigens stelt de Inspectiedienst vast dat verweerster aangeeft sedert april 2018 de ouders van jongeren die bij Y verblijven, niet meer automatisch in te schrijven, maar hen uit te nodigen om zich via de website in te schrijven (opt-in systeem). De Inspectiedienst stelt vast dat betrokkenen worden uitgenodigd om zichzelf in te schrijven op de nieuwsbrief door het zelfstandig ingeven van hun e-mailadres op de website, en dat deze inschrijving geen blokkerende werking heeft voor een verder bezoek aan de website. Aldus concludeert de Inspectiedienst dat de toestemming van betrokkenen afdoende geïnformeerd, specifiek, vrij en ondubbelzinnig is. 11. Hoewel klaagster geen verwijzing maakt naar de uitschrijfmogelijkheid voor dienstcommunicaties in haar klacht, stelt de Inspectiedienst bovendien vast dat betrokkenen alsnog over de mogelijkheid beschikken hun toestemming ten allen tijde in te trekken, middels een schrijven aan de functionaris voor de gegevensbescherming van verweerster. 12. Derhalve beschouwt de Inspectiedienst de eerste verwerkingsactiviteit als zijnde in overeenstemming met artikelen 5, 6 en 4.11 juncto artikel 7.2 AVG, evenals met artikelen 12.1 en 13 en 14 AVG. 13. Voorts stelt de Inspectiedienst vast dat, ofschoon de ontvangers van het e-mailbericht kennis hebben kunnen nemen van de identiteit en het e-mailadres van de andere ontvangers, de inhoud van de communicatie van juni 2018 geen persoonsgegevens bevat. 14. Aangaande het gebruik van CC in plaats van BCC, hetgeen volgens klaagster moet beschouwd worden als een datalek, bevestigt de Inspectiedienst allereerst dat verweerster heeft nagelaten het incident binnen de 72 uur te melden aan de GBA. 15. Echter moet deze schending van artikel 33 AVG volgens de Inspectiedienst enigszins genuanceerd worden, in die zin dat de verwerkingsverantwoordelijke zich overeenkomstig artikel 33.1 AVG mogelijks heeft kunnen beroepen op de waarschijnlijkheid dat het gegevenslek een laag risico inhield voor de rechten en vrijheden van natuurlijke personen, teneinde te besluiten geen melding te doen bij de GBA. Beslissing ten gronde 62/2022 - 4/21 16. De Inspectiedienst benadrukt in het bijzonder dat het gegevenslek zowel in het aantal ontvangers (16 ouders of opvoedingsverantwoordelijken) als in blootgestelde persoonsgegevens (het e-mail adres waaruit mogelijks de identiteit van de ontvangers kan vastgesteld worden) beperkt was, met als gevolg dat de kwestieuze e-mail mogelijks slechts heel beperkte schade heeft bezorgd aan klaagster. 17. In het inspectieverslag wordt eveneens verwezen naar het feit dat de klacht en inbreuk eerder sloegen op een niet-intentionele, eenmalige en voornamelijk menselijke fout, gelet op de ICT Gedragscode van verweerster waarin aangegeven staat dat de medewerkers BCC dienen te gebruiken indien nodig. 18. Daarnevens blijkt het gegevenslek volgens de Inspectiedienst in de toekomst vermeden te kunnen worden doordat verweerster lering trok uit de situatie en reeds beschikt over een procedure en formulier die gebruikt kunnen worden voor het melden van een gegevenslek. 19. Tot slot verwijst de Inspectiedienst naar de interne sensibilisering en opleiding over de bestaande ICT Gedragscode en procedure voor veiligheidsincidenten evenals het daartoe bestemde meldingsformulier, die verweerster sedert het incident heeft voorzien voor de medewerkers van de afdeling waar het feit voorviel. 20. Gelet op voorgaande elementen meent de Inspectiedienst dat de overtreding van artikel 33.1 van de AVG zou kunnen worden afgesloten. Niettegenstaande merkt de Inspectiedienst een reeks aandachtspunten in verband met de interne procedure van verweerster. 21. Meer bepaald stelt de Inspectiedienst vast dat een melding aan de GBA niet is voorzien in de procedure voor veiligheidslekken, en dat voornoemde procedure derhalve zou kunnen aangevuld worden met specifieke instructies teneinde steeds een registratie van incidenten te voorzien in het eigen register van gegevenslekken van verweerster, verontschuldigingen aan te bieden aan de betrokkenen, alsmede om de ontvangers van verkeerdelijk verstuurde e-mailberichten een e-mailbericht na te sturen met de vraag tot onmiddellijke verwijdering van de voorafgaande e-mail. 22. Ten aanzien van de tweede verwerkingsactiviteit, met name de twee e-mailcommunicaties van 27 maart en 29 mei 2019, stelt de Inspectiedienst vast dat deze betrekking heeft op het uitzenden van nieuwsberichten o.a. aan de ouders van de adolescenten die verblijven in de afdeling van de verwerkingsverantwoordelijke. 23. De Inspectiedienst merkt op dat deze nieuwsbrieven een uitschrijfmogelijkheid bevatten onderaan de e-mailberichten, en dat betrokkenen ook de mogelijkheid wordt geboden hun toestemming in te trekken middels gegevensbescherming van verweerster. een schrijven aan de functionaris voor Beslissing ten gronde 62/2022 - 5/21 24. Op basis van deze specifieke elementen voorhanden in het dossier stelt de Inspectiedienst vast dat de toestemming voorzien door de verwerkingsverantwoordelijke vrij en ondubbelzinnig is, en derhalve voldoet aan de voorwaarden voorzien in artikel 4.11 juncto artikel 7.3 AVG. De Inspectiedienst stelt deze verwerkingsactiviteit op grond van artikel 6.1.
- a)AVG bijgevolg niet in vraag en merkt op dat deze verwerkingsactiviteit kan worden aanzien als zijnde in overeenstemming met artikel 5.1.
- a)AVG. 25. Omtrent de vraag of klaagster afdoende in kennis werd gesteld van de verwerking van haar persoonsgegevens met het oog op het versturen van nieuwsbrieven, stelt de Inspectiedienst vast dat betrokkenen op passende wijze worden ingelicht middels de privacyverklaring op de website van de verwerkingsverantwoordelijke. Derhalve besluit de Inspectiedienst dat het versturen van de betwiste nieuwsbrieven geen schending inhoudt van artikel 12.1 en artikelen 13 en 14 AVG. 26. Het verslag bevat daarnaast vaststellingen die verder gaan dan het voorwerp van de klacht. De Inspectiedienst stelt meer bepaald vast dat het voorgelegde register van verwerkingsactiviteiten onvolledig en onduidelijk is, en verweerster bijgevolg artikel 30.1 AVG heeft overtreden. 27. Op 23 september 2021 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98 WOG dat het dossier gereed is voor behandeling ten gronde. 28. Op 23 februari 2022 worden de betrokken partijen in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. 29. Gelet op het feit dat klaagster op het moment dat zij de klacht heeft ingediend in het Nederlandstalig taalgebied woonde, en verweerster volgens het inspectieverslag als een Vlaamse bestuursinstantie wordt beschouwd 4, besluit de Geschillenkamer eveneens om de procedure te voeren in het Nederlands, in overeenstemming met haar talenbeleid5. Beide partijen krijgen evenwel 14 dagen om hiertegen bezwaar te maken. 30. Op 6 oktober 2021 tekent klaagster bezwaar aan tegen het gebruik van het Nederlands als proceduretaal. Rekening houdend met het feit dat klaagster op het moment van het indienen van haar klacht, in het Frans, weliswaar woonachtig was in het homogene Nederlandse taalgebied; verweerster als een Vlaamse bestuursinstantie dient te worden beschouwd; en klaagster zich overigens meermaals van de Nederlandse taal heeft bediend in het kader van haar uitwisselingen met verweerster, alsook met onder meer de diensten 4 5 Inspectieverslag van 23 maart 2021, p. 3. Nota talenbeleid gehanteerd door de Geschillenkamer, beschikbaar op de website van de GBA: https://www.gegevensbeschermingsautoriteit.be/publications/nota-talenbeleid-gehanteerd-door-de-geschillenkamer.pdf Beslissing ten gronde 62/2022 - 6/21 van het Agentschap Jongerenwelzijn, besluit de Geschillenkamer om de partijen op 14 oktober 2021 per aangetekende brief de hiernavolgende overeenkomst voor te stellen. a. De officiële proceduretaal blijft het Nederlands, met dien verstande dat de partijen zich, in de procedure voor de Geschillenkamer, zowel schriftelijk in hun conclusies als mondeling op een eventuele hoorzitting, in het Frans of het Nederlands kunnen uitdrukken. b. De Geschillenkamer verbindt zich ertoe om haar correspondentie met de betrokken partijen in de toekomst steeds in zowel het Frans als in het Nederlands te laten verlopen, in overeenstemming met artikel 41, § 1 en § 2 van de wetten van 18 juli 1966 op het gebruik van de talen in bestuurszaken (hierna, ‘SWT’)6. De eerder gecommuniceerde conclusietermijnen zullen worden vervangen door nieuwe conclusietermijnen. De Geschillenkamer zal eveneens een Franstalige vertaling van het Nederlandstalige inspectieverslag bezorgen aan klaagster, zonder dat deze Franstalige versie het inspectieverslag vervangt. c. De Geschillenkamer zal de procedurestukken ingediend door een partij niet vertalen ten behoeve van de wederpartij, noch zal zij instaan voor de door hen zelf gemaakte kosten in verband met de vertaling van deze stukken. De partijen moeten ook zelf geen vertalingen van hun procedurestukken verstrekken. d. De Geschillenkamer verbindt zich ertoe haar eindbeslissing in het Nederlands te nemen, en simultaan een Franse versie aan klaagster mee te delen; beide versies zullen op de website van de GBA beschikbaar worden gesteld. 31. Bij gebrek aan bezwaar binnen de 7 dagen na de mededeling van het voorgaande voorstel, verstuurt de Geschillenkamer een nieuw uitnodiging aan de partijen om hun verweermiddelen in te dienen. De uiterste datum voor ontvangst van de conclusie van antwoord van verweerster werd daarbij vastgelegd op 6 december 2021, deze voor de conclusie van repliek van klaagster op 3 januari 2022 en deze voor de conclusie van repliek van verweerster op 24 januari 2022. 32. Overeenkomstig artikelen 95 § 2, 98 en 99 WOG worden de partijen zowel per e-mail als per aangetekende zending in kennis gesteld dat de reikwijdte van deze zaak betrekking heeft op de volgende vermeende inbreuken door verweerster: 1) vermeende overtreding van artikelen 6 en 7 AVG, aangaande het gebrek aan ouderlijke toestemming voor de vermeende verwerking van beeldmateriaal van de 6 Wetten van 18 juli 1966 op het gebruik van de talen in bestuurszaken, B.S., 2 augustus 1966. Beslissing ten gronde 62/2022 - 7/21 minderjarige zoon van klaagster met het oog op een externe publicatie, zonder haar medeweten; 2) vermeende overtreding van artikelen 5, 6 en 4, lid 11 juncto artikel 7 AVG, betreffende de e-mailcommunicatie van 7 juni 2018 tussen de afdeling “[…]” van verweerster en de ouders; 3) vermeende overtreding van artikel 12.1 en artikelen 13 en 14 AVG, inzake de informatie over de nieuwsbrief in de privacyverklaring van verweerster; 4) vermeende overtreding van artikel 30 AVG, wegens een onvolledig en onduidelijk register van verwerkingsactiviteiten; 5) vermeende overtreding van artikel 33.1 AVG, wegens onvoldoende interne procedures inzake veiligheidslekken waarin voorzien wordt dat incidenten steeds opgenomen worden in een eigen register van gegevenslekken van de verwerkingsverantwoordelijke, alsmede dat incidenten desgevallend aan de GBA moeten worden gemeld. 33. Op 25 oktober 2021 bevestigt de functionaris voor gegevensbescherming van verweerster per e-mail de goede ontvangst van het schrijven van de Geschillenkamer evenals de bijlagen. 34. Op 3 december 2021 ontvangt de Geschillenkamer de conclusie van antwoord van verweerster voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht. Deze conclusie bevat eveneens de reactie van verweerster omtrent de vaststellingen die door de Inspectiedienst werden gedaan buiten de scope van de klacht. 35. Met betrekking tot de inbreuk 1 wijst verweerster op het gebrek aan vaststelling dienaangaande door de Inspectiedienst, waardoor verweerster het niet mogelijk acht om hiervoor verweer in te dienen. Voor het overige verklaart verweerster dat haar medewerkers toestemming vragen aan de bekwame minderjarige, of aan de ouders indien de minderjarige als niet bekwaam (richtleeftijd 12 jaar) wordt geacht, voor het nemen en verspreiden van foto’s. Dit is eveneens opgenomen in de onthaalbrochure van verweerster dewelke reeds in het kader van het inspectieonderzoek is bezorgd. 36. Aangaande de inbreuken 2 en 3 verwijst verweerster naar het oordeel van de Inspectiedienst dat de inbreuken goed werden opgevolgd en rechtgezet door de verwerkingsverantwoordelijke. Verweerster laat eveneens weten dat er geen gelijkaardig incident meer is voorgevallen en het dus gaat om een tot nu toe éénmalige, menselijke “beginners-fout”, gelet op de recente inwerkingtreding van de AVG ten tijde van het incident. Verweerster benadrukt tevens dat zij intern voor regelmatige opleiding en sensibilisering zorgt. Beslissing ten gronde 62/2022 - 8/21 37. Betreffende de inbreuk 4 verklaart verweerster dat de aanbevelingen uit het inspectieverslag, ter vervollediging van het register van verwerkingsactiviteiten, inmiddels werden verwerkt in het voornoemde register. In het bijzonder werd een tabblad met versiebeheer toegevoegd, evenals een tabblad over de organisatie en de functionaris voor gegevensbescherming. Daarnaast werd een tabblad toegevoegd met meer uitleg over de technische en organisatorische maatregelen, alsmede een tabblad met de gehanteerde bewaringstermijnen. Verweerster verklaart tot slot dat de klacht dateert van 6 maanden nadat de AVG in voege trad, en verweerster zich toen toespitste op de opleiding van haar medewerkers inzake het gebruik van procedures. 38. Ten aanzien van de inbreuk 5, waarbij de Inspectiedienst vaststelt dat de interne procedure voor het melden van veiligheidsincidenten voorziet dat verweerster datalekken meldt bij de Vlaamse Toezichtcommissie (VTC), meent verweerster een beroep te doen op de informatie beschikbaar op de website van de Vlaamse Overheid7. Voorts verklaart verweerster dat het betrokkenen vrij staat om een klacht in te dienen bij de GBA naar aanleiding van datalekken, alsook dat zij bereid is haar incidenten toch te melden bij de GBA. Ten slotte bevestigt verweerster dat verkeerdelijk uitgestuurde e-mails thans worden toegevoegd in het incidentenregister, en dat medewerkers de “verkeerdelijke ontvangers” dienen te verzoeken om het bericht onmiddellijk te wissen. 39. De Geschillenkamer ontving geen conclusie van repliek van klaagster. II. Motivering II.1. Bevoegdheid van de Gegevensbeschermingsautoriteit ten aanzien van een Vlaamse bestuursinstantie 40. Vooreerst verduidelijkt de Geschillenkamer, naar analogie met o.m. haar beslissing 15/2020 van 15 april 20208 en aansluitend op het gestelde in het verslag van de Inspectiedienst, dat de GBA in casu bevoegd is om op te treden. 41. De AVG is een verordening die rechtstreeks toepasselijk is in de Unie en niet door de lidstaten mag worden omgezet in de nationale wetgeving. Bepalingen uit de AVG mogen ook niet worden gespecificeerd in de nationale regelgeving, behoudens op de punten waar de AVG dit uitdrukkelijk mogelijk maakt. De gegevensbescherming is dus in beginsel een Europeesrechtelijke aangelegenheid geworden9. 7 https://overheid.vlaanderen.be/digitale-overheid/is-uw-organisatie-een-vlaamse-bestuursinstantie. 8 Beslissing ten gronde 15/2020 van 15 april 2020 van de Geschillenkamer van de GBA, para. 69-70 alsook 77 e.v. Zie ook beslissing 23/2022 van 11 februari 2022, para. 6, en beslissing 31/2022 van 4 maart 2022, para. 33-43, beschikbaar op de website van de GBA: https://www.gegevensbeschermingsautoriteit.be/burger/publicaties/beslissingen. 9 Zie bijv. in C. KUNER, L.A. BYGRAVE en C. DOCKSEY (eds.),The EU General Data Protection Regulation: A Commentary, Oxford University Press, 2020, pp. 54-56. Beslissing ten gronde 62/2022 - 9/21 42. Het uitvaardigen van eventuele regelgevende bepalingen inzake persoonsgegevens door de federale of een deelstatelijke overheid moet dus gebeuren binnen het kader dat werd vastgelegd door de AVG. Dienaangaande verwijst de Geschillenkamer naar artikel 22 van de Grondwet10 en de vaste rechtspraak hieromtrent van het Grondwettelijk Hof dat stelt dat het recht op eerbiediging van het privéleven, zoals gewaarborgd in artikel 22 van de Grondwet (alsook in verdragen), een ruime draagwijdte heeft en onder meer de bescherming van persoonsgegevens en van persoonlijke informatie omvat11. 43. Het Grondwettelijk Hof en de afdeling Wetgeving van de Raad van State hebben reeds geoordeeld dat het instellen van algemene beperkingen op de door een grondwetsbepaling gewaarborgde rechten, een aan de federale wetgever voorbehouden materie is12. Dientengevolge behouden de deelstatelijke overheden de mogelijkheid om, binnen hun bevoegdheden, specifieke beperkingen te voorzien, slechts in die mate en op voorwaarde dat zij de algemene federale wetgeving hieromtrent respecteren 13. 44. Kortom, de Geschillenkamer stelt vast dat de federale overheid en deelstatelijke overheden bevoegd zijn om respectievelijk algemene en specifieke regels uit te vaardigen betreffende de bescherming van het privé- en gezinsleven en dit enkel op de punten waarop de AVG dit toelaat en binnen de regels van de AVG die rechtstreeks toepasselijk zijn in de Belgische rechtsorde14. 45. In haar advies nr. 61.267/2/AV van 27 juni 2017, dat werd uitgevaardigd naar aanleiding van het voorontwerp dat tot de WOG heeft geleid, ging de afdeling Wetgeving van de Raad van State uitvoerig in op de bevoegdheidsverdelende regels inzake het toezicht op gegevensbescherming15. De Raad van State stelde in het voormeld advies dat de federale overheid een toezichthoudende autoriteit kan oprichten met “een algemene bevoegdheid […] over alle verwerkingen van persoonsgegevens, ook die welke plaatsvinden in aangelegenheden waarvoor de gemeenschappen en de gewesten bevoegd zijn”16. “Een dergelijke regeling doet geen afbreuk aan de bevoegdheid van de gemeenschappen en 10 “Ieder heeft recht op eerbiediging van zijn privéleven en zijn gezinsleven, behoudens in de gevallen en onder de voorwaarden onder de wet bepaald. De wet, het decreet of de in artikel 134 bedoelde regel waarborgen de bescherming van dat recht.” 11 Zie bv. GwH, nr. 29/2018, 15 maart 2018, B.11; nr. 104/2018, 19 juli 2018, B.21; nr. 153/2018, 8 november 2018, B.9.1. Zie ook A. ALEN en K. MUYLLE, Handboek van het Belgisch Staatsrecht, Mechelen, Kluwer 2011, pp. 917 e.v. 12 A. ALEN en K. MUYLLE, Handboek van het Belgisch Staatsrecht, Mechelen, Kluwer, 2011, 918; K. REYBROUCK en S. SOTTIAUX, De federale bevoegdheden, Antwerpen, Intersentia, 2019, 122; J. VANDE LANOTTE, G. GOEDERTIER, Y. HAECK, J. GOOSSENS en T. DE PELSMAEKER, Belgisch Publiekrecht, Brugge, die Keure, 2015, p. 449. 13 Arbitragehof, nr. 50/2003, 30 april 2003, B.8.10; nr. 51/2003, 30 april 2003, B.4.12.; nr. 162/2004, 20 oktober 2004 en 16/2005, 19 januari 2005; GwH, 20 oktober 2004, 14 februari 2008; Adv. RvS nr. 37.288/3 van 15 juli 2004, Parl. St. Vl. Parl. 2005-2006, nr. 531/1: “[…] de gemeenschappen en de gewesten [zijn] slechts bevoegd […] om specifieke beperkingen van het recht op de eerbiediging van het privéleven toe te staan en te regelen voor zover ze daarbij de federaal bepaalde basisnormen aanpassen of aanvullen, maar […] ze [zijn] niet bevoegd […] om die federale basisnormen aan te tasten”. 14 J. VAN PRAET, De latente staatshervorming, Brugge, die Keure, 2011, pp. 249-250. 15 Adv.RvS nr. 61.267/2 van 27 juni 2017 over het voorontwerp van wet ‘tot hervorming van de Commissie voor de bescherming van persoonlijke levenssfeer’, pp. 28-45. 16 Ibid., p. 12, para. 5. Beslissing ten gronde 62/2022 - 10/21 gewesten, […]”, aldus de Raad van State17. Bijgevolg kunnen de deelstatelijke toezichthoudende autoriteiten volgens de Raad van State enkel worden gemachtigd om toezicht te houden op de specifieke regels die de zij hebben uitgevaardigd voor gegevensverwerkingen in het kader van activiteiten die onder hun bevoegdheid vallen, en dit uiteraard slechts in zoverre de AVG de lidstaten nog toestaat om specifieke bepalingen vast te stellen en geen afbreuk wordt gedaan aan de bepalingen van de WOG. 46. Kortom, de GBA is, als federale toezichthoudende autoriteit, overeenkomstig artikel 4 WOG de bevoegde instantie om toe te zien op de algemene regels, waaronder de dwingende bepalingen van de AVG die geen verdere nationale uitvoering behoeven18. Dit is ook het geval indien de gegevensverwerking betrekking heeft op een materie die onder de bevoegdheid van de gemeenschappen of de gewesten (deelstatelijke overheden) valt en/of indien de verwerkingsverantwoordelijke een overheidsinstantie is die onder de gemeenschappen of de gewesten ressorteert, zelfs al heeft de deelstaat zelf een toezichthoudende autoriteit in de zin van de AVG opgericht. 47. Gelet op het bovenstaande concludeert de Geschillenkamer dat opdat een deelstatelijke toezichthoudende autoriteit bevoegd zou zijn, het geenszins volstaat dat de gegevensverwerking betrekking heeft op een deelstatelijke materie. De deelstaat in kwestie moet bovendien ook, binnen de ruimte die de AVG de lidstaten nog laat, specifieke regels hebben uitgevaardigd voor de verwerking van persoonsgegevens in het kader van die materie. Het is enkel het toezicht op de naleving van die specifieke deelstatelijke regels dat aan de deelstatelijke toezichthoudende autoriteit kan worden toevertrouwd. 48. De Geschillenkamer benadrukt dat de notie ‘specifieke regels’ niet te ruim mag worden opgevat. Uit het aangehaalde advies van de Raad van State blijkt dat het begrip ‘specifieke regels’ verwijst naar specifieke beperkingen of bijzondere waarborgen, die afwijken van of verder gaan dan de algemene bepalingen, waarborgen en beperkingen die zijn opgenomen in, of voortvloeien uit, de AVG of de federale wetgeving. Met andere woorden, het loutere feit dat de deelstaten (bij decreet of besluit) een algemene regel implementeren of bevestigen, betekent nog niet dat die regel het karakter krijgt van een ‘specifieke regel’. Er is pas sprake van een specifieke regel wanneer de deelstaten, gebruikmakend van de ruimte die de AVG daarvoor laat, bijkomende waarborgen of beperkingen instellen. 49. Daar komt bij dat eventuele beperkingen van bevoegdheden van een autoriteit voor de gegevensbescherming ingevolge de AVG slechts mogelijk zouden zijn indien op het niveau 17 18 Ibid., p. 12, para. 6. Zie ook bv. Adv.RvS, nr. 66.033/1/AV van 3 juni 2019 over een ontwerp van besluit van de Vlaamse Regering van 10 december 2010 ‘tot uitvoering van het decreet betreffende de private arbeidsbemiddeling, wat betreft de invoering van een registratieverplichting voor sportmakelaars’, p. 5, para. 5.3; Adv.RvS., nr. 66.277/1 van 2 juli 2019 over een ontwerp van besluit van de Vlaamse Regering ‘houdende de nadere regels voor de verwerking, de bewaring en de bewijskracht van de elektronische gegevens betreffende de toelagen in het kader van het gezinsbeleid’, p. 7, para. 5.3. Beslissing ten gronde 62/2022 - 11/21 van een deelstaat een toezichthoudende autoriteit zou zijn opgericht die voldoet aan alle vereisten die ingevolge de Europese Verdragen aan de toezichthoudende autoriteiten worden gesteld, en die ook alle taken en bevoegdheden van een toezichthoudende autoriteit heeft verkregen. Verwezen zij in dit verband vooral naar de artikelen 51 tot en met 59 van de AVG. Dit is niet het geval voor de Vlaamse Toezichtcommissie. 50. Uit bovenstaande volgt dat de Vlaamse besturen zijn onderworpen aan de rechtstreeks toepasselijke bepalingen van de AVG alsook dat de GBA in casu bevoegd is om op te treden. Deze bevoegdheid betekent eveneens dat incidenten met betrekking tot persoonsgegevens, zoals gedefinieerd in artikel 4.12) AVG, krachtens artikel 33.1 AVG desgevallend aan de bevoegde toezichthoudende autoriteit gemeld moeten worden, in casu de GBA. II.2. Gebrek aan ouderlijke toestemming voor het nemen en verspreiden van foto’s van een minderjarige 51. De Geschillenkamer neemt akte van het feit dat mevr. X zich erover beklaagt dat verweerster zonder haar voorafgaande inlichting en toestemming foto’s van haar minderjarige zoon zou hebben laten nemen met het oog op een externe publicatie. 52. Echter stelt de Geschillenkamer vast dat klaagster negatief antwoordde op de vraag van de Inspectiedienst om enige bewijs aan te leveren van deze vermeende verwerking. Meer bepaald merkt klaagster op dat verweerster weigerde haar meer informatie te verstrekken omtrent het project. Een medewerkster van de ombudsdienst van verweerster zou bovendien verklaard hebben dat de deelname aan het project rechtstreeks aan de jongeren werd voorgesteld, waarbij de deelname ook anoniem kon verlopen en verweerster om deze reden “niet echt toestemming [vroeg]”. 53. De Geschillenkamer stelt vast dat verweerster niet betwist dat de kwestieuze verwerking plaatsvond, doch verwijst naar haar onthaalbrochure waarin een toestemmingsverklaring voorziet in de mogelijkheid voor opvoedingsverantwoordelijke dan wel bekwame jongeren om hun toestemming te geven voor het nemen en gebruiken van sfeerfoto’s19. 54. Vooreerst benadrukt de Geschillenkamer dat de bescherming van persoonsgegevens, die onder de AVG valt, moet worden losgekoppeld van het "recht op afbeelding", dat een persoonlijk recht is waarin artikel XI.174 van het Wetboek van Economisch Recht voorziet. Het feit dat een persoon ermee instemt om gefotografeerd of gefilmd te worden, betekent derhalve niet noodzakelijkerwijs dat hij of zij instemt met de publicatie of verspreiding van 19 Onthaalbrochure vzw Sporen, p. 13. Beslissing ten gronde 62/2022 - 12/21 deze beelden. Deze twee toestemmingen staan los van elkaar en moeten daarom apart worden gevraagd20. 55. De Geschillenkamer begrijpt uit de voorgelegde stukken dat de zoon van klaagster op het moment van de feiten 15 jaar was. Inzake de leeftijd waarop de minderjarigen zelf zouden mogen beschikken over hun persoonsgegevens voorzien noch de AVG noch de Belgische Gegevensbeschermingswet echter uitsluitsel, behoudens in de specifieke context van een rechtstreekse aanbod van diensten van de informatiemaatschappij aan een kind 21. 56. Hoewel alle natuurlijke personen titularis zijn van het recht op afbeelding, is de uitoefening van dat recht nauw verbonden aan de handelings(on)bekwaamheid van de titularis 22. De rechtsleer voorziet daarom in een onderscheid tussen minderjarigen met onderscheidingsvermogen en minderjarigen zonder onderscheidingsvermogen, waarbij bovendien gesteld moet worden “dat de huidige rechtspraak het begrip onderscheidingsvermogen beoordeelt volgens de concrete, feitelijke omstandigheden van de zaak en niet op grond van een welbepaalde leeftijd”23. 57. Dit betekent met andere woorden dat het voor de Geschillenkamer, bij gebrek aan sluitend antwoord of klaagster naar aanleiding van de uitspraak van de jeugdrechtbank nog ouderlijk gezag had over haar zoon alsook of deze laatste al dan niet over het onderscheidingsvermogen beschikt, onmogelijk is te achterhalen of de toestemming van klaagster voor de betwiste verwerking in casu noodzakelijk was. 58. Dientengevolge gelden in beginsel de gemeenrechtelijke bepalingen met betrekking tot de handelings(on)bekwaamheid van minderjarigen 24 ten aanzien van de uitoefening van hun recht op afbeelding, en is de Geschillenkamer prima facie van mening dat de ouderlijke toestemming —evenals de toestemming van de betrokkenen indien zij het onderscheidingsvermogen hebben— nodig is voor de verwerking van beeldmateriaal van minderjarigen onder de 18 jaar. 59. De Geschillenkamer stelt evenwel vast dat de klacht onvoldoende gestaafd is met bewijzen voor het bestaan van een inbreuk op de AVG of op de gegevensbeschermingswetten, en het duidelijk niet mogelijk is om een dergelijk bewijs te verkrijgen25. Evenmin is de 20 https://www.gegevensbeschermingsautoriteit.be/burger/thema-s/recht-op-afbeelding/principes. 21 Artikel 8 van de AVG ; artikel 7 van de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens, B.S., 5 september 2018. 22 E. GULDIX, De persoonlijkheidsrechten, de persoonlijke levenssfeer en het privéleven in hun onderling verband, Doctoraatproefschrift Faculteit der Rechtsgeleerdheid V.U.B., Brussel, 1986, pp. 246-247. 23 Kh. Brussel, 24 februari 1995, Ing.-Cons., 1995, p. 333, noot L. MULLER; Rb. Brussel, 17 mei 2002, AM, 2003, p. 138. Zie ook L. DIERICKX, Het recht op afbeelding, Intersentia, Antwerpen-Oxford, 2005, pp. 39-42. 24 Art. 388, 488 en 1123 t.e.m. 1125 BW. Niet-ontvoogde minderjarigen zijn absoluut, algemeen en volledig handelingsonbekwaam en worden derhalve vertegenwoordigd. Zie ook FR. SWENNEN, Het personen- en familierecht, Intersentia, Antwerpen-Cambridge, 2012, para. 265 e.v. 25 In dit verband verwijst de Geschillenkamer naar afdeling 3.1, A.1 van haar sepotbeleid, zoals uiteengezet op de website van de GBA: https://www.gegevensbeschermingsautoriteit.be/publications/sepotbeleid-van-de-geschillenkamer.pdf. Beslissing ten gronde 62/2022 - 13/21 Geschillenkamer in staat vast te stellen dat de voorafgaande ouderlijke toestemming in casu vereist was. Aldus kan de Geschillenkamer op basis van de feiten en de in de klacht aangevoerde juridische grieven niet tot de conclusie komen dat er sprake is van een inbreuk op de regelgeving inzake gegevensbescherming. Kortom, op grond van voorgaande elementen oordeelt de Geschillenkamer dat er geen overtreding van de AVG kan worden vastgesteld ; deze grief wordt derhalve als kennelijk ongegrond verklaard26. 60. In de hypothese dat er in de onderhavige zaak effectief een publicatie van beeldmateriaal van jongeren zou hebben plaatsgevonden, dan stelt de Geschillenkamer evenwel in vraag in welke mate een dergelijke publicatie met foto’s van minderjarigen op sociale media of communicatieplatformen noodzakelijk is voor de vervulling van een taak van algemeen belang dat aan verweerster is opgedragen of kadert binnen een wettelijke verplichting die op verweerster rust. Het feit dat het in de onderhavige zaak gaat om jongeren met uitgerekend een moeilijke gezinssituatie of achtergrond, zou volgens de Geschillenkamer minstens tot voorzichtigheid moeten nopen, en zelfs aanleiding moeten zijn tot het nietpubliceren van beelden waarop deze jongeren herkenbaar zijn, uitgezonderd indien de ouderlijke toestemming voorafgaand wordt verkregen voor welbepaalde verwerkingsdoeleinden. Aangezien verweerster als een Vlaamse overheidsinstantie dient te worden beschouwd27, kan zij overeenkomstig artikel 6.1 in fine AVG immers geen beroep doen op het gerechtvaardigd belang als grondslag voor de verwerking van persoonsgegevens28. Bij gebrek aan een legitiem belang of wettelijke verplichting voor de publicatie van beeldmateriaal waarop jongeren herkenbaar worden afgebeeld, besluit de Geschillenkamer dat een voorafgaande toestemming, of tenminste specifieke toelating van de ouders of de wettelijke opvoedingsverantwoordelijke onontbeerlijk is. II.3. Rechtmatigheid van de verwerking van persoonsgegevens van klaagster in het kader van de dienstmededeling d.d. 7 juni 2018 61. Het staat vast dat verweerster beschikt over de contactgegevens van de ouders en opvoedingsverantwoordelijken teneinde met hen te kunnen communiceren omtrent informatie die van belang is in het kader van de relatie van verweerster ten opzichte van de ouders van de jongeren. De Geschillenkamer gaat er vanuit dat voor het verkrijgen van deze gegevens een rechtsgrond bestaat, als bedoeld in artikel 6.1 van de AVG, meer bepaald de noodzaak van de verwerking teneinde een wettelijke verplichting na te komen (artikel 6.1.
- c)26 Ibidem, afdeling 3.1, A.2. 27 Onderzoeksverslag van de Inspectiedienst, p. 3. Zie ook para. 7 in deze beslissing. 28 Artikel 6.1.
- f)AVG : "De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan : […]
- f)de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is. De eerste alinea, punt f), geldt niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun taken." Zie ook para. 67 in deze beslissing. Beslissing ten gronde 62/2022 - 14/21 AVG). Om die reden is toestemming als rechtsgrond overeenkomstig de voorwaarden van de artikelen 4.7 en 7 AVG niet denkbaar voor het verkrijgen van de gegevens. Ouders van jongeren hebben immers niet de vrije keuze om al dan niet hun contactgegevens aan verweerster over te leggen. 62. De Geschillenkamer gaat na in hoeverre verweerster die contactgegevens van klaagster kan delen met derden, in voorliggend geval de ouders van andere jongeren. Overeenkomstig artikel 5.1.
- b)AVG kan de verwerking van persoonsgegevens voor andere doeleinden dan die waarvoor de persoonsgegevens aanvankelijk zijn verzameld, enkel worden toegestaan indien de verwerking verenigbaar is met de doeleinden waarvoor de persoonsgegevens aanvankelijk zijn verzameld. Rekening houdend met de criteria opgenomen in artikel 6.4 AVG en overweging 50 AVG 29 dient aldus te worden nagegaan of de doelstelling van de verdere verwerking, in casu het kenbaar maken via mail van de contactgegevens van klaagster aan de ouders van andere jongeren, al dan niet verenigbaar is met de doelstelling van de initiële verwerking bestaande uit de verzameling van de contactgegevens van klaagster binnen de context van rechtstreeks contact tussen de ouders van jongeren en verweerster. De Geschillenkamer komt tot het besluit dat klaagster haar contactgegevens heeft verstrekt binnen het kader van haar verhouding tot verweerster en er zich geenszins redelijkerwijs aan kon verwachten dat verweerster diezelfde gegevens zou delen met derden die weliswaar een eigen band hebben met verweerster, vermits het ouders van andere jongeren betreft, maar die buiten de verhouding tussen klaagster en verweerster staan. 63. Dit leidt tot de vaststelling dat er geen sprake is van een verenigbare verdere verwerking, zodat er een afzonderlijke rechtsgrond is vereist opdat de mededeling van de contactgegevens van klaagster aan de ouders van andere jongeren als rechtmatig zou kunnen worden bestempeld. Een verwerking van persoonsgegevens, waaronder dus ook een onverenigbare verdere verwerking zoals in voorliggend geval, is immers slechts rechtmatig indien daartoe een rechtsgrond bestaat. Voor onverenigbare verdere verwerkingen dient te worden teruggevallen op artikel 6.1 AVG en overweging 50 AVG. In overweging 50 AVG30 is opgenomen dat een afzonderlijke rechtsgrond is vereist voor de verwerking van persoonsgegevens voor andere doeleinden die niet verenigbaar zijn met de 29 Overweging 50 AVG: […] Om na te gaan of een doel van verdere verwerking verenigbaar is met het doel waarvoor de persoonsgegevens aanvankelijk zijn verzameld, moet de verwerkingsverantwoordelijke, nadat hij aan alle voorschriften inzake rechtmatigheid van de oorspronkelijke verwerking heeft voldaan, onder meer rekening houden met: een eventuele koppeling tussen die doeleinden en de doeleinden van de voorgenomen verdere verwerking; het kader waarin de gegevens zijn verzameld; met name de redelijke verwachtingen van de betrokkenen op basis van hun verhouding met de verwerkingsverantwoordelijke betreffende het verdere gebruik ervan; de aard van de persoonsgegevens; de gevolgen van de voorgenomen verdere verwerking voor de betrokkenen; en passende waarborgen bij zowel de oorspronkelijke als de voorgenomen verdere verwerkingen. 30 Overweging 50 AVG: De verwerking van persoonsgegevens voor andere doeleinden dan die waarvoor de persoonsgegevens aanvankelijk zijn verzameld, mag enkel worden toegestaan indien de verwerking verenigbaar is met de doeleinden waarvoor de persoonsgegevens aanvankelijk zijn verzameld. In dat geval is er geen andere afzonderlijke rechtsgrond vereist dan die op grond waarvan de verzameling van persoonsgegevens werd toegestaan. […] Beslissing ten gronde 62/2022 - 15/21 doeleinden waarvoor de persoonsgegevens aanvankelijk zijn verzameld. Die afzonderlijke rechtsgronden op basis waarvan een verwerking, met inbegrip dus van onverenigbare verdere verwerkingen, als rechtmatig kan worden beschouwd, zijn bepaald in artikel 6.1 AVG. 64. De Geschillenkamer onderzoekt daartoe in hoeverre de rechtsgronden als bepaald in artikel 6.1 AVG kunnen worden ingeroepen door verweerster teneinde de verdere verwerking van de persoonsgegevens die betrekking hebben op klaagster te rechtvaardigen. 65. Verweerster zelf maakt geen melding van enige rechtsgrond dewelke haar zou toelaten over te gaan tot de gegevensverwerking die het voorwerp uitmaakt van de klacht, zijnde de mededeling van het e-mailadres van klaagster aan de ouders van andere jongeren. Daarenboven geeft verweerster uitdrukkelijk toe dat deze mededeling een fout betrof. Verweerster argumenteert dus niet dat de mededeling mocht plaatsvinden en tracht deze dus ook niet te rechtvaardigen door zich uitdrukkelijk te beroepen op enige rechtsgrond. 66. Op basis van de feitelijke elementen in het dossier aanwezig gaat de Geschillenkamer ambtshalve na of er desgevallend een rechtsgrond kan worden ingeroepen die verweerster zou toelaten over te gaan tot de verzending van de mail met daarin het e-mailadres van klaagster zichtbaar voor alle bestemmelingen, ermee rekening houdende dat er een eenvoudig technisch middel bestaat om de beoogde bestemmelingen van de e-mail in één enkele beweging te bereiken zonder dat de mailadressen van eenieder zichtbaar zijn, namelijk de verzending in BCC in plaats van in CC. 67. Gelet op de hoedanigheid van verweerster 31, kan zij zich voor de mededeling van het e-mailadres van klaagster aan andere ouders in beginsel niet beroepen op haar gerechtvaardigd belang (artikel 6.1.
- f)AVG) noch dat van een derde partij. 68. De overige rechtsgronden opgenomen in artikel 6.1.
- a)tot en met 6.1.
- e)AVG zijn in voorliggend geval evenmin van toepassing vermits: ▪ uit het voorwerp van de klacht alsmede de stukken in dit dossier geenszins blijkt dat klaagster haar toestemming heeft gegeven (artikel 6.1.
- a)AVG) voor de kwestieuze verwerking, noch dat verweerster zich op de toestemming meent te beroepen; ▪ de Geschillenkamer het niet plausibel acht dat de onthulling van de contactgegevens van klaagster aan andere ouders noodzakelijk is voor de uitvoering 31 van Zie para. 60 in fine in deze beslissing. een overeenkomst tussen klaagster en verweerster Beslissing ten gronde 62/2022 - 16/21 (artikel 6.1.
- b)AVG), noch dat zulke onthulling zou voortvloeien uit een wettelijke verplichting rustend op verweerster (artikel 6.1.
- c)AVG); ▪ er niet kan getwijfeld worden dat de mededeling van het e-mailadres van klaagster niet noodzakelijk was ter bescherming van de vitale belangen van de betrokken ouders of een andere natuurlijke persoon (artikel 6.1.
- d)AVG), en dat de mededeling van de contactgegevens van de ouders noodzakelijk is voor de vervulling van een taak van algemeen belang dat aan verweerster is opgedragen (artikel 6.1.
- e)AVG). 69. De Geschillenkamer is van oordeel dat de voorgaande elementen afdoende aantonen dat verweerster zich op geen enkele rechtsgrond kan beroepen waaruit de rechtmatigheid blijkt van de gegevensverwerking zoals deze door haar werd opgezet. Bovendien betwist verweerster de feiten niet en stelt zij zelf dat in de betreffende e-mail die het voorwerp uitmaakt van de klacht het e-mailadres van klaagster samen met die van andere ouders in het veld “CC” werd geplaatst, in plaats van in “BCC”, in tegenstelling tot wat de ICT Gedragscode voor medewerkers voorziet. Hierdoor geeft verweerster aan dat de medewerkster die de communicatie uitstuurde een inbreuk heeft gepleegd in verband met de persoonsgegevens van klaagster. 70. Ondanks het feit dat uit de door verweerster bijgebrachte stukken blijkt dat er binnen haar organisatie algemene richtlijnen zijn opgesteld waarbij in globale e-mails de bestemmelingen in BCC dienen te worden geplaatst, toont klaagster aan dat deze richtlijnen in de praktijk niet werden toegepast. In de dienstmededeling d.d. 7 juni 2018 bijgevoegd door klaagster en waarop de klacht betrekking heeft, worden deze richtlijnen niet nageleefd. Verweerster ontkracht dit niet, maar stelt dat het voorval voorkwam uit een menselijke fout en een eenmalig en accidenteel karakter had. 71. Niettegenstaande de volgens verweerster sindsdien aangebrachte verbeteringen besluit de Geschillenkamer, op grond van de voorgaande elementen, dat de inbreuk op artikelen 5, 6 en 4.11 juncto artikel 7 AVG bewezen is ten aanzien van de dienstmededeling van 7 juni 2018, waarin de contactgegevens van alle bestemmelingen zichtbaar bleven. 72. Aansluitend op het gestelde in het verslag van de Inspectiedienst, oordeelt de Geschillenkamer dat er daarentegen geen inbreuk van artikel 33.1 AVG kan worden vastgesteld, vermits het niet vaststaat dat het gegevenslek ten gevolge van de dienstmededeling d.d. 7 juni 2018 een risico inhield voor de rechten en vrijheden van klaagster, en verweerster derhalve niet gehouden was tot het melden van de inbreuk bij de GBA. Beslissing ten gronde 62/2022 - 17/21 II.4. Rechtmatigheid van de verwerking van persoonsgegevens van klaagster in het kader van het versturen van nieuwsbrieven aan ouders en opvoedingsverantwoordelijken 73. Verweerster verklaart in haar antwoord aan de Inspectiedienst dat zij de nieuwsbrieven niet als direct marketing aanziet, maar als een essentieel middel om de ouders van de jongeren die in de leefgroepen verblijven betrokken te houden, om ouders gesprekstof te geven in communicatie met hun kinderen, en om ouders op de hoogte te houden van activiteiten zoals oudercontacten. 74. Klaagster stelt daarentegen vast dat de elektronische nieuwsbrieven bestemmelingen ook oproepen tot het steunen, hetzij door vrijwilligerswerk, hetzij financieel, van de initiatieven en werking van Y, alsook promotie van externe dienstverleners zoals reisorganisaties. 75. De Geschillenkamer stelt op grond van de voorgelegde nieuwsbrieven d.d. 27 maart 2019 en 29 mei 2019 vast dat de betrokken ontvangers worden uitgenodigd om vrijwillig geld te storten ten gunste van de Y, hetgeen niet kadert binnen de kernopdracht van verweerster als Organisatie voor Bijzondere Jeugdzorg. Derhalve oordeelt de Geschillenkamer dat de nieuwsbrieven in casu niet uitsluitend kaderen in het decreet betreffende de integrale jeugdhulp, maar ook voor een deel als direct marketing communicaties beschouwd moeten worden. De Geschillenkamer onderzoekt daartoe welke rechtsgrond zoals bepaald in artikel 6.1 AVG door de verwerkingsverantwoordelijke wordt ingeroepen. 76. Uit het antwoord van verweerster op de vragen van de Inspectiedienst 32, begrijpt de Geschillenkamer dat betrokkenen zich op haar website via een opt-in kunnen inschrijven voor de elektronische nieuwsbrief. Tevens verklaart verweerster dat gegeven toestemmingen worden bijgehouden in MailChimp, en ontvangers zich kunnen uitschrijven via een “reply op de nieuwsbrief” of via de knop “Uitschrijven” onderaan elke nieuwsbrief. In het kader van dat onderzoek kon verweerster bovendien vaststellen dat MailChimp geen poging van klaagster registreerde om zich uit te schrijven via de hiervoor bestemde knop, noch enige e-mail van klaagster is toegekomen via de “reply” functionaliteit. 77. De Geschillenkamer stelt vast dat betrokkenen op passende wijze geïnformeerd worden over de verwerking van hun persoonsgegevens met het oog op het uitsturen van nieuwsbrieven alsmede dat verweerster zich terecht beroept op hun toestemming als grondslag voor deze verwerking. Verder stelt de Geschillenkamer vast dat verweerster passende maatregelen heeft voorzien opdat betrokkenen op eenvoudige wijze hun toestemming kunnen intrekken indien zij wensen zich uit te schrijven. 78. Niettegenstaande het vorige merkt de Geschillenkamer op dat het gebrek aan duidelijk onderscheid tussen dienstmededelingen en de elektronische nieuwsbrieven echter kan leiden tot verwarring voor betrokkenen omtrent de precieze rechtmatigheidsgrond. 32 Stuk 12, pp. 1-2. Beslissing ten gronde 62/2022 - 18/21 De toestemming van betrokkenen vormt namelijk geen passende grondslag voor communicaties die als noodzakelijk voor de dienstverlening moeten beschouwd worden, zoals mededelingen over oudercontacten, of communicaties die hun oorsprong vinden in een wettelijke verplichting rustend op de verwerkingsverantwoordelijke, zoals in casu het betrekken van ouders en opvoedingsverantwoordelijken in de jeugdhulpverlening 33. Niettemin behoort het niet aan de Geschillenkamer om te bepalen op welke specifieke wettelijke verplichting verweerster zich al dan niet mag beroepen als grondslag voor haar dienstmededelingen aan ouders en opvoedingsverantwoordelijken, in het kader van haar kernopdrachten. 79. Aansluitend op de voorgaande vaststellingen besluit de Geschillenkamer dat verweerster in casu de betrokkenen onvoldoende heeft ingelicht over het onderscheid tussen dienstmededelingen en communicaties die rechtstreeks betrekking hebben op haar kernopdracht, enerzijds, en communicaties die als direct marketing moeten bestempeld worden, anderzijds. Hieromtrent benadrukt de Geschillenkamer in het bijzonder het belang van een passende rechtsgrond voor zowel noodzakelijke dienstmededelingen als voor elektronische nieuwsbrieven waarin de dagdagelijkse werking van de organisatie op vrijwillige basis ter kennis van de ouders of opvoedingsverantwoordelijken wordt gebracht. 80. Bij gebrek aan duidelijke informatie over de verschillende categorieën van elektronische communicaties naar ouders en opvoedingsverantwoordelijken, zowel in de online privacyverklaring als in de onthaalbrochure, oordeelt de Geschillenkamer dat verweerster artikelen 12 en 13 AVG heeft geschonden. 33 De Geschillenkamer verwijst in het bijzonder naar het gezamenlijk engagement beoogd door artikel 8 van het decreet van 12 juli 2013 betreffende de integrale jeugdhulp, B.S., 13 september 2013, van toepassing op verweerster: “Integrale jeugdhulp heeft betrekking op de samenwerking en afstemming in de jeugdhulp met als doel een gezamenlijk engagement aan te gaan ten behoeve van minderjarigen, hun ouders en, in voorkomend geval, hun opvoedingsverantwoordelijken en de betrokken personen uit hun leefomgeving en daarvoor : 1° in te zetten op de vermaatschappelijking van de jeugdhulpverlening; 2° de tijdige toegang tot de jeugdhulpverlening te organiseren; 3° de flexibiliteit en continuïteit van de jeugdhulpverlening te waarborgen, met inbegrip van de naadloze overgang naar andere vormen van hulpverlening; 4° gepast om te gaan met verontrustende situaties in de jeugdhulpverlening; 5° in een subsidiair aanbod crisisjeugdhulpverlening te voorzien; 6° hen maximaal in de jeugdhulpverlening te laten participeren; 7° een integrale aanpak te realiseren bij het organiseren en het aanbieden van jeugdhulpverlening.” Beslissing ten gronde 62/2022 - 19/21 II.5. Documentatieplicht voor veiligheidsincidenten en meldingsplicht bij de Gegevensbeschermingsautoriteit 81. De Inspectiedienst stelt in het kader van zijn onderzoek vast dat de interne procedure van verweerster met betrekking tot het afhandelen van veiligheidsincidenten niet uitdrukkelijk voorziet in een systematische opname van verkeerdelijk uitgestuurde e-mailberichten als incident in het eigen register van gegevenslekken, en dat het formulier bestemd voor de opvolging van veiligheidsincidenten niet overal voorziet in een meldingsplicht bij de GBA. 82. De Geschillenkamer herinnert eraan dat een verwerkingsverantwoordelijke alle inbreuken moet documenteren zoals in artikel 33.5 AVG wordt uitgelegd, ongeacht of de inbreuk aan de toezichthoudende autoriteit moet worden gemeld: “De verwerkingsverantwoordelijke documenteert alle inbreuken in verband met persoonsgegevens, met inbegrip van de feiten omtrent de inbreuk in verband met persoonsgegevens, de gevolgen daarvan en de genomen corrigerende maatregelen. Die documentatie stelt de toezichthoudende autoriteit in staat de naleving van dit artikel te controleren.” 83. Bij gebrek aan vaststelling door de Inspectiedienst omtrent de opname van het gegevenslek naar aanleiding van de dienstmededeling d.d. 7 juni 2018 in een intern incidentenregister van verweerster, is de Geschillenkamer niet in staat om tot de conclusie te komen dat er sprake is van een inbreuk op de AVG en op de regelgeving inzake gegevensbescherming. Dientengevolge besluit de Geschillenkamer de buitenvervolgingstelling te bevelen voor wat betreft dit punt. De Geschillenkamer neemt evenwel akte van het voornemen van verweerster om de melding van incidenten in de toekomst via het Intranet te laten indienen, waarop een automatische mail volgt naar de betrokken medewerker met vervolgstappen, een verwijzing naar de aangepaste incidentenprocedure en enkele voorbeelden van datalekken. 84. Ten aanzien van de door de Inspectiedienst voorgestelde aanvullingen in de interne procedure, in het bijzonder de meldingsplicht van inbreuken betreffende persoonsgegevens bij de GBA, verwijst de Geschillenkamer naar de uiteenzetting supra inzake de algemene bevoegdheid van de GBA voor de naleving van de AVG34. II.6. Register van verwerkingsactiviteiten 85. De Geschillenkamer sluit zich aan bij de vaststelling van de Inspectiedienst omtrent de onvolledigheid en onduidelijkheid van het register van verwerkingsactiviteiten. Artikel 30 AVG bepaalt uitdrukkelijk dat het register onder meer de naam en de contactgegevens van de 34 verwerkingsverantwoordelijke Zie para. 40-50 in deze beslissing. en eventuele gezamenlijke verwerkings- Beslissing ten gronde 62/2022 - 20/21 verantwoordelijken, alsook, in voorkomend geval, van de vertegenwoordiger van de verwerkingsverantwoordelijke en van de functionaris voor gegevensbescherming moet bevatten. Daarnaast dient de verwerkingsverantwoordelijke de beoogde termijnen te beschrijven waarbinnen de verschillende categorieën van gegevens moeten worden gewist, ermee rekening houdende dat vage termijnen zoals “bewaartermijn ongekend” of “wettige bewaartermijn” onvoldoende duidelijkheid bieden. Ten slotte moet de beschrijving van de getroffen organisatorische en technische maatregelen de mogelijkheid bieden om de precieze uitwerking van de maatregelen te verstaan, teneinde na te kunnen gaan in welke mate de betrokken persoonsgegevens hiermee afdoende worden beschermd. 86. Gezien het ontbreken van de voormelde informatie in het register van verwerkingsactiviteiten van verweerster ten tijde van het onderzoek, oordeelt de Geschillenkamer dat de inbreuk op artikel 30 AVG afdoende is bewezen. III. Publicatie van de beslissing 87. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de GBA. Het is evenwel niet nodig dat daartoe de identificatiegegevens van de partijen rechtstreeks worden bekendgemaakt. Beslissing ten gronde 62/2022 - 21/21 OM DEZE REDENEN, beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om: - op grond van artikel 100, § 1, 1° WOG, de klacht te seponeren voor wat betreft het nemen en publiceren van de afbeelding van de minderjarige zoon van klaagster, zonder haar voorafgaande toestemming; - op grond van artikel 100, § 1, 2° WOG, de buitenvervolgingstelling te bevelen voor wat betreft de opname van het gegevenslek d.d. 7 juni 2018 in het interne incidentenregister; - op grond van artikel 100, § 1, 5° WOG, een waarschuwing te formuleren ten aanzien van verweerster met betrekking tot het melden van inbreuken in verband met persoonsgegevens bij de Gegevensbeschermingsautoriteit, in overeenstemming met artikel 33 AVG; - op grond van artikel 100, § 1, 5° WOG, een berisping te formuleren ten aanzien van verweerster wegens de overtreding van artikelen 5, 6 en 4.11 juncto artikel 7 AVG in het kader van de dienstmededeling van 7 juni 2018, waarin de contactgegevens van alle bestemmelingen zichtbaar bleven; - op grond van artikel 100, § 1, 5° WOG, een berisping te formuleren ten aanzien van verweerster wegens de overtreding van artikelen 12 en 13 AVG voor het gebrek aan transparantie in de privacyverklaring van verweerster inzake de verwerkingsgronden voor de dienstmededelingen aan ouders en opvoedingsverantwoordelijken, enerzijds, en de nieuwsbrieven die als direct marketing moeten worden aangezien, anderzijds; - op grond van artikel 100, § 1, 9° WOG, verweerster te bevelen om haar privacyverklaring in overeenstemming te brengen met artikelen 12 en 13 AVG; - op grond van artikel 100, § 1, 9° WOG, verweerster te bevelen om het register van verwerkingsactiviteiten in overeenstemming te brengen met artikel 30 AVG; Tegen deze beslissing kan op grond van art. 108, § 1 WOG, beroep worden aangetekend binnen een termijn van dertig dagen, vanaf de kennisgeving, bij het Marktenhof, met de Gegevensbeschermingsautoriteit als verweerster. (Get). Hielke HIJMANS Voorzitter van de Geschillenkamer